router箱上でtcpdumpで取ったパケットを他のマシンでwiresharkかけてみたら
いいんでない？
wiresharkならSIPも解析してくれそうだし。
直接router箱上でwireshark動かせるならそれでもいいけど。

あと、pfctl -v -s stateでどういうstateがあるのか見てみた方がいいかも。